3月10日の報告によると、DeFiレンディングプロトコルのCompound Financeは最近、再びフロントエンドのセキュリティ事件に見舞われ、多くのユーザーが公式ウェブサイトに異常を報告し、フィッシング詐欺の疑いがあるページにリダイレクトされました。今回の事件は、最近の複数のDeFiプラットフォームのウェブサイトハイジャック事件の中で最新のケースと見なされています。
プロジェクトのセキュリティチームがガバナンスフォーラムで発表した説明によると、攻撃者は「compOOnd」のような類似ドメインを偽造し、フィッシングサイトを構築して訪問者をそのページに誘導しました。しかし、チームは現時点でユーザ資金の損失は確認されておらず、影響を受けたインフラアカウントの認証情報はすべて変更済みであり、システムリスクはコントロール下にあると述べています。
これは、Compoundのフロントエンドが2年未満の間に2回目の類似攻撃を受けたことになります。以前の2024年7月には、Squarespaceでホスティングされた複数のDeFiプロジェクトのドメインがハッカーによる集中攻撃を受け、その際にCompoundのウェブサイトも影響を受けました。セキュリティ専門家は、フィッシングツールの自動化レベルが向上するにつれ、こうした攻撃の技術的ハードルが次第に低下していると指摘しています。
今回の事件でユーザ資金が影響を受けなかった一因は、コアの取引インターフェースの展開方式の違いにあります。公式の説明によると、ウォレットの接続や取引実行に使用されるapp.compound.financeのサブドメインはIPFSネットワークを通じてサービスを提供しており、セキュリティチームはコードの完全性を独立して検証できるため、フロントエンドの改ざんリスクを低減しています。
今回の事件は資金の損失には至りませんでしたが、かつてDeFiのトッププロトコルの一つであったCompoundにとって、最近の一連の問題は市場の信頼を徐々に弱めています。過去数年、同プロジェクトは運営やガバナンスに関する争議に何度も巻き込まれています。例えば、Compound DAOは以前、リスク管理サービス提供者のGauntletとの潜在的な利益相反の問題でコミュニティから疑問視されました。
さらに遡ると、2022年の操作ミスにより、価値が80億ドルを超えるcETHのマーケットが約1週間停止し、その後技術的な修復が完了しました。また、2021年のプロトコルアップグレードの過程では、誤った報酬分配事件も発生し、約1.5億ドル相当のトークンが誤ってユーザーに配布されました。
専門家は、DeFi業界の規模拡大に伴い、フロントエンドのセキュリティ、ドメインの保護、ガバナンスの透明性が長期的な安定運用の重要な要素となっていると指摘しています。レンディングプラットフォームにとって、ウェブサイトのセキュリティホールは、攻撃者がフィッシング詐欺を仕掛ける重要な入り口となり得るのです。
